Inscrire une application sur la Plateforme d’identités Microsoft

Pour que votre application utilise les fonctionnalités de gestion des identités et des accès (IAM) de Microsoft Entra ID, y compris l’accès aux ressources protégées, vous devez d’abord l’inscrire. Ensuite, le Plateforme d'identités Microsoft exécute les fonctions IAM pour les applications inscrites. Cet article explique comment inscrire une application web dans le centre d'administration Microsoft Entra. Vous pouvez en savoir plus sur les types d’applications que vous pouvez inscrire dans le Plateforme d'identités Microsoft.

Conseil

Pour inscrire une application pour Azure AD B2C, suivez les étapes décrites dans Tutoriel : Inscrire une application web dans Azure AD B2C.

Configuration requise

• Locataire Microsoft Entra ID. Si vous n’avez pas de locataire, créez un compte Azure gratuit pour obtenir un abonnement gratuit.
• Un compte qui a au moins le rôle Administrateur d’application cloud .

Enregistrer une application

L’inscription de votre application établit une relation d’approbation entre votre application et le Plateforme d'identités Microsoft. L’approbation est unidirectionnelle : votre application approuve le Plateforme d'identités Microsoft, et non l’inverse. Une fois créé, l’objet d’application ne peut pas être déplacé entre différents locataires.

1. Connectez-vous au Centre d'administration Microsoft 365.

2. Si vous avez accès à plusieurs locataires, utilisez l’icône Paramètres dans le menu supérieur pour basculer vers le locataire dans lequel vous souhaitez inscrire l’application à partir du menu Répertoires + abonnements .

3. Accédez àApplications>d’identité>inscriptions d'applications et sélectionnez Nouvelle inscription.

4. Entrez un nom d’affichage pour votre application.

5. Spécifiez qui peut utiliser l’application dans la section Types de comptes pris en charge .

   Types de comptes pris en charge	Description
   Comptes dans cet annuaire organisationnel uniquement	Sélectionnez cette option si vous créez une application destinée uniquement aux utilisateurs (ou invités) de votre locataire. Souvent appelée application métier, cette application est une application monolocataire dans le Plateforme d'identités Microsoft.
   Comptes dans un annuaire organisationnel	Sélectionnez cette option si vous souhaitez que les utilisateurs d’un locataire Microsoft Entra puissent utiliser votre application. Cette option est appropriée si, par exemple, vous créez une application SaaS (Software-as-a-Service) que vous avez l’intention de fournir à plusieurs organisations. Ce type d’application est appelé application multilocataire dans le Plateforme d'identités Microsoft.
   Comptes dans un annuaire organisationnel et comptes personnels Microsoft	Sélectionnez cette option pour cibler l’ensemble le plus large de clients. En sélectionnant cette option, vous inscrivez une application multilocataire qui peut également prendre en charge les utilisateurs qui ont des comptes Microsoft personnels. Les comptes Microsoft personnels incluent les comptes Skype, Xbox, Live et Hotmail.
   Comptes Microsoft personnels	Sélectionnez cette option si vous créez une application uniquement pour les utilisateurs disposant de comptes Microsoft personnels. Les comptes Microsoft personnels incluent les comptes Skype, Xbox, Live et Hotmail.

6. N’entrez rien pour URI de redirection (facultatif) . Vous allez configurer un URI de redirection dans la section suivante.

7. Sélectionnez Inscrire pour terminer l’inscription initiale de l’application.

   

Une fois l’inscription terminée, le centre d'administration Microsoft Entra affiche le volet Vue d’ensemble de l’inscription de l’application. Sur cette page, l’application a reçu des valeurs pour :

• ID d’application (client) qui identifie de manière unique votre application dans l’écosystème cloud Microsoft, sur tous les locataires.
• ID d’objet qui identifie de façon unique votre application dans votre locataire.

Configurer les paramètres de plateforme

Les paramètres de plateforme incluent des URI de redirection, des paramètres d’authentification spécifiques ou des champs spécifiques à la plateforme de l’application, par exemple les applications web et monopage.

1. Sous Gérer, sélectionnez Authentification.

2. Sous Configurations de plateforme, sélectionnez Ajouter une plateforme.

3. Sous Configurer les plateformes, sélectionnez la vignette de votre type d’application (plateforme) pour configurer ses paramètres.

   

   Plateforme	Option Paramètres
   Web	Entrez un URI de redirection pour votre application. Cet URI est l’emplacement vers lequel la plateforme d’identités Microsoft redirige le client d’un utilisateur et envoie des jetons de sécurité après l’authentification. Vous pouvez également configurer l’URL de déconnexion du canal frontal et les propriétés d’octroi implicite et de flux hybrides . Sélectionnez cette plateforme pour les applications web standard qui s’exécutent sur un serveur.
   Application monopage	Entrez un URI de redirection pour votre application. Cet URI est l’emplacement vers lequel la plateforme d’identités Microsoft redirige le client d’un utilisateur et envoie des jetons de sécurité après l’authentification. Vous pouvez également configurer l’URL de déconnexion du canal frontal et les propriétés d’octroi implicite et de flux hybrides . Sélectionnez cette plateforme si vous créez une application web côté client à l’aide de JavaScript ou d’une infrastructure comme Angular, Vue.js, React.js ou Blazor WebAssembly.
   iOS / macOS	Entrez l’ID d’offre groupée de l’application. Recherchez-la dans Paramètres de build ou dans Xcode dans Info.plist. Un URI de redirection est généré pour vous lorsque vous spécifiez un ID d’offre groupée.
   Android	Entrez le nom du package de l’application. Recherchez-le dans le fichier AndroidManifest.xml . Générez également et entrez le hachage de signature. Un URI de redirection est généré pour vous lorsque vous spécifiez ces paramètres.
   Applications mobiles et de bureau	Sélectionnez l’un des URI de redirection suggérés. Vous pouvez également spécifier sur ou plusieurs URI de redirection personnalisés. Pour les applications de bureau utilisant un navigateur incorporé, nous vous recommandons https://login.microsoftonline.com/common/oauth2/nativeclient Pour les applications de bureau utilisant le navigateur système, nous vous recommandons http://localhost Sélectionnez cette plateforme pour les applications mobiles qui n’utilisent pas la dernière bibliothèque d’authentification Microsoft (MSAL) ou qui n’utilisent pas de répartiteur. Sélectionnez également cette plateforme pour les applications de bureau.

4. Sélectionnez Configurer pour terminer la configuration de la plateforme.

Restrictions d’URI de redirection

Certaines restrictions s’appliquent au format des URI de redirection que vous ajoutez à une inscription d’application. Pour plus d’informations sur ces restrictions, consultez Restrictions et limitations de l’URI de redirection (URL de réponse).

Ajouter des informations d’identification

Les informations d’identification sont utilisées par les applications clientes confidentielles qui accèdent à une API web. Les applications web, d’autres API web ou les applications de type service et de type démon sont des exemples de clients confidentiels. Les informations d’identification permettent à votre application de s’authentifier en tant que telle, sans aucune interaction de la part d’un utilisateur au moment de l’exécution.

Vous pouvez ajouter des certificats, des clés secrètes client (chaîne ou mot de passe) ou des informations d’identification fédérées en tant qu’informations d’identification à votre inscription d’application cliente confidentielle.

Option 1 : Ajouter un certificat

Parfois appelé clé publique, un certificat est le type d’informations d’identification recommandé, car ils sont considérés comme plus sécurisés que les secrets client. Pour plus d’informations sur l’utilisation d’un certificat comme méthode d’authentification dans votre application, consultez Plateforme d'identités Microsoft informations d’identification du certificat d’authentification d’application.

1. Sélectionnez Certificats & secrets>Certificats>Charger un certificat.
2. Sélectionnez le fichier que vous souhaitez charger. Il doit s’agir de l’un des types de fichiers suivants : .cer, .pem, .crt.
3. Sélectionnez Ajouter.

Option 2 : Ajouter une clé secrète client

Parfois appelé mot de passe d’application, une clé secrète client est une valeur de chaîne que votre application peut utiliser à la place d’un certificat pour s’identifier elle-même.

Les secrets client sont considérés comme moins sécurisés que les informations d’identification de certificat. Les développeurs d’applications utilisent parfois des secrets client pendant le développement d’applications locales en raison de leur facilité d’utilisation. Toutefois, vous devez utiliser des informations d’identification de certificat ou des informations d’identification fédérées pour les applications qui s’exécutent en production.

1. Sélectionnez Certificats & secrets>client>Nouvelle clé secrète client.
2. Ajoutez une description pour votre clé secrète client.
3. Sélectionnez une expiration pour le secret ou spécifiez une durée de vie personnalisée.
   • La durée de vie de la clé secrète client est limitée à deux ans (24 mois) ou moins. Vous ne pouvez pas spécifier une durée de vie personnalisée supérieure à 24 mois.
   • Microsoft vous recommande de définir une valeur d’expiration inférieure à 12 mois.
4. Sélectionnez Ajouter.
5. Enregistrez la valeur du secret à utiliser dans le code de votre application cliente. Cette valeur de secret n’est plus jamais affichée une fois que vous avez quitté cette page.

Pour obtenir des recommandations en matière de sécurité des applications, consultez Plateforme d'identités Microsoft bonnes pratiques et recommandations.

Si vous utilisez une connexion de service Azure DevOps qui crée automatiquement un principal de service, vous devez mettre à jour la clé secrète client à partir du site portail Azure DevOps au lieu de mettre directement à jour la clé secrète client. Reportez-vous à ce document sur la mise à jour de la clé secrète client à partir du site portail Azure DevOps : Résoudre les problèmes liés aux connexions au service Azure Resource Manager.

Option 3 : Ajouter des informations d’identification fédérées

Les informations d’identification fédérées sont un type d’informations d’identification qui permet aux charges de travail, telles que les GitHub Actions, les charges de travail s’exécutant sur Kubernetes ou les charges de travail s’exécutant sur des plateformes de calcul en dehors d’Azure, d’accéder à des ressources protégées par Microsoft Entra ID sans avoir à gérer les secrets. Les informations d’identification fédérées utilisent la fédération d’identité de charge de travail.

Pour ajouter des informations d’identification fédérées, procédez comme suit :

1. Sélectionnez Certificats & secrets>Informations d’identification> fédéréesAjouter des informations d’identification.

2. Dans la zone de liste déroulante Scénario d’informations d’identification fédérées , sélectionnez l’un des scénarios pris en charge, puis suivez les instructions correspondantes pour terminer la configuration.

   • Clés gérées par le client pour chiffrer les données de votre locataire à l’aide d’Azure Key Vault dans un autre locataire.
   • GitHub actions déployant des ressources Azure pour configurer un workflow GitHub afin d’obtenir des jetons pour votre application et déployer des ressources sur Azure.
   • Kubernetes accédant aux ressources Azure pour configurer un compte de service Kubernetes afin d’obtenir des jetons pour votre application et accéder aux ressources Azure.
   • Autre émetteur pour configurer une identité gérée par un fournisseur OpenID Connect externe afin d’obtenir des jetons pour votre application et d’accéder aux ressources Azure.

Pour plus d’informations sur l’obtention d’un jeton d’accès avec des informations d’identification fédérées, consultez Plateforme d'identités Microsoft et le flux d’informations d’identification du client OAuth 2.0.

Autres ressources

• En savoir plus sur les autorisations et le consentement dans la Plateforme d'identités Microsoft ou sur le fonctionnement des autorisations dans Microsoft Graph.
• Choisissez un guide de démarrage rapide qui vous guide tout au long de l’ajout des principales fonctionnalités de gestion des identités et des accès (IAM) à vos applications et les meilleures pratiques pour assurer la sécurité et la disponibilité de vos applications.
• En savoir plus sur les deux objets Microsoft Entra qui représentent une application inscrite et la relation entre eux : objets d’application et objets de principal de service.

Étape suivante

Utiliser l’application pour obtenir l’accès au nom d’un utilisateur ou Obtenir l’accès sans utilisateur